Ferreira Manuel 
380
Uma vulnerabilidade crítica no plugin Smart Slider 3, utilizado em mais de 800 mil sites WordPress, expõe centenas de milhares de plataformas digitais ao risco de acesso indevido a dados sensíveis, permitindo que utilizadores autenticados, mesmo com permissões mínimas, consigam aceder a ficheiros internos do servidor.
O problema resulta da ausência de verificações de capacidade nas acções de exportação AJAX, o que possibilita a qualquer utilizador autenticado executar funções críticas e explorar a falha para ler ficheiros arbitrários, incluindo o wp-config.php, onde se encontram credenciais de base de dados e chaves de segurança essenciais.
A vulnerabilidade foi identificada por investigadores da Defiant, responsável pelo plugin Wordfence, que detectaram falhas na função “actionExportAll”, a qual não valida o tipo nem a origem dos ficheiros e permite assim a exportação de conteúdos sensíveis, incluindo ficheiros PHP presentes no servidor.
Apesar da existência de um mecanismo de segurança do tipo Number Used Once (nonce, na sigla inglesa), este não impede a exploração da falha, uma vez que pode ser obtido por qualquer utilizador autenticado, o que agrava o risco sobretudo em ambientes com múltiplos utilizadores registados.
“Infelizmente, essa função não inclui nenhuma verificação de tipo ou origem de arquivo na versão vulnerável. Isso significa que não apenas arquivos de imagem ou vídeo podem ser exportados, mas também arquivos .php”, afirma István Márton, pesquisador de vulnerabilidades contratado pela Defiant.
A falha foi reportada a 23 de Fevereiro e validada posteriormente, tendo a Nextendweb disponibilizado uma correcção a 24 de Março através da versão 3.5.1.34 do plugin, embora a actualização ainda não tenha sido adoptada por uma parte significativa dos utilizadores.
Dados do WordPress indicam que o plugin foi descarregado 303.428 vezes numa semana, mas cerca de 500 mil sites continuam a operar com versões vulneráveis, permanecendo expostos a possíveis ataques e exploração indevida.
Até ao momento, não há evidência de exploração activa da vulnerabilidade CVE-2026-3098, mas a divulgação pública dos detalhes técnicos aumenta o risco de utilização maliciosa a curto prazo, o que leva especialistas a recomendar uma actualização imediata por parte dos administradores.
